国際的な警告、ロシア関連攻撃がZimbraウェブメールを標的に

ロシア国家に関連するハッカーが、ゼロクリック型フィッシングメールを通じて西側諸国の政府機関や民間企業を侵害し続けていると、米国、英国、欧州、オーストラリア、ニュージーランドの政府機関が木曜日に警告しました。 

高度標的型攻撃(APT)グループ「Laundry Bear」によるこのキャンペーンは、Zimbra Collaboration Suiteのウェブメールプラットフォームを標的とし、2025年11月にパッチが適用された脆弱性を悪用しています。 

勧告によると、ハッカーは米国やNATO加盟国の組織に標的を移す前に、ウクライナの組織を「大規模に」標的にしていました。これは「ロシアのサイバー脅威グループにおいて、優先標的として、また世界的な展開に先立つ悪意あるサイバー技術の実験場として、まずウクライナのユーザーを標的にする傾向が強まっている」ことを示す証拠だとしています。

「この活動の隠密かつ持続的な性質、そして既知の金銭的恐喝が一切見られないことから、このグループはロシア政府の後ろ盾を得たスパイ活動に関与していることがほぼ間違いないと考えられます」と各機関は結論付けています。 

木曜日に同キャンペーンに関する報告書を公表したPalo Alto NetworksのUnit 42によると、ハッカーは防衛・運輸部門に加え、NATO加盟国、ウクライナ、独立国家共同体(CIS)諸国、アフリカの金融機関も標的にしていました。Proofpointも独自の勧告で、同グループが米国内の「政府機関、先端科学分野、防衛産業基盤の標的」を侵害していたと述べています。  

Laundry Bearは2025年5月、オランダの情報機関によって初めて特定され、同機関はオランダ国家警察を含む一連のハッキング事件の背後に同グループがいると断定していました。Microsoftによると、同グループは少なくとも2024年から活動しています。これまでのキャンペーンでは、パスワードスプレー攻撃や、受信者にリンクをクリックさせる必要があるフィッシングなど、「洗練されていない」手法が用いられていました。 

少なくとも2025年7月以降、同グループはCVE-2025-66376の脆弱性を突く新たな悪用手法を展開しています。これは、既に侵害された既存のメールアカウントから送信されるメールに悪意のあるJavaScriptペイロードを仕込むというものです。このペイロードは、メールが開かれると同時に実行されます。

勧告によると、ハッカーは侵害したアカウントから過去90日分のメール、パスワード、連絡先リスト、二要素認証トークン、その他のパスコードを窃取しようと試みていました。 

2026年3月、サイバーセキュリティ企業Seqriteは、Zimbraウェブメールを悪用しウクライナの海事機関を侵害したゼロクリック型フィッシングキャンペーンについて報告しました。同社はこの活動を、中程度の確度でロシアのAPTグループ「Fancy Bear」によるものと帰属評価しています。オランダの情報機関は、Laundry Bearの手口は「Fancy Bearの手口と重なる」ものの、両者は別の攻撃者であるとしています。

Proofpointの研究者は、このキャンペーンが、ロシアおよびベラルーシのハッカーが近年見せている「ウェブメールサーバーを略奪する」ためのクロスサイトスクリプティング悪用の他の活動を反映していると述べています。 

各国政府機関は、Zimbraウェブメールサービスを利用している組織に対し、直ちにソフトウェアにパッチを適用するよう強く求めるとともに、パッチ適用が困難な場合は従業員に別のメールクライアントを使用させるよう呼びかけています。